CNCF瑞士会议-分布式Docker图像

现在
好了
现在不管你说什么，我都会结束的
youtube
我开玩笑的
欢迎大家加入
这个网络研讨会会有更多的人报名参加
这真的很酷，非常感谢
为了加入我们将从
大约两分钟
在第一次演讲中
这里是瑞士，所以我们总是喜欢
是非常
就在此刻
下午4点
中欧时间
大约两秒钟后
好了
现在是瑞士时间下午4点
科罗拉多的早上8点多好啊
没错，现在是科罗拉多州早上8点
欢迎来到云原生
计算机瑞士聚会，是的
2022年2月24日我叫艾德里安
Kosmacheski和我欢迎你们从
瑞士的苏黎世市和这个
网上还有别的版本吗
云原生计算瑞士
meetup
我们计划我知道我们计划做这个
但在个人的情况下它是什么
所以我们决定回到网上
我想你不会介意我这么想
无论如何，这将是一场精彩的活动
今天我真的真的很激动
欢迎我们的主讲人
说到这一点
关于今天的议程，我们
从神圣的身体开始
无界系统游戏代表来自
德国，说的是机密
计算与工程大理石运行
今天由莫里茨开始
然后是来自jfrog的Melissa McKay
直接从美国的科罗拉多来的
这是第一次
我想这是我们第一次
来自海外的演讲者
这是一个非常棒的欢迎活动
梅丽莎她会说的
轮盘赌码头映像，这将
发生在16点45分，我们将要
结束这次活动的唯一理由就是
同价的托马斯接枝
来谈谈车前草和ebpf
城里最热门的新科技，所以
真的很酷，非常感谢你
你们所有人都来了，我们要
结束在
1805年，大概是两年后
几个小时，提醒一下
就在我们说话的时候
这个视频会在后面
可以在我们的YouTube频道上观看
vision.tv所以请subscribe for
我们在那里发布新内容
非常非常常见的是q a盒子
就在你屏幕的底部
请使用它，请张贴您的问题
给你们的演讲者
演讲者将基本上决定是否
来回答我们的问题
同一时间或者
最后是异步的，以此类推
基本上是由你们来决定
决定你想怎么处理这件事
当然，请大家遵守
会议的行为准则我们从来没有
对这个瑞士人有意见吗
社区非常棒，非常有礼貌
但是你可以继续读下去
愿景。我们有行为准则
我们在瑞士进行开发
调查一直持续到三月底
我们基本上都很好奇，我们已经
得到了一个非常非常
到目前为止，关于如何做到这一点的答案非常多
瑞士的公司正在采用
所以请使用您的二维码
登录surveymonkey
现在屏幕上显示的调查
和
我为什么这么说，因为有
你有可能，但你必须这样
位于瑞士，抱歉，梅丽莎
抱歉，莫里斯，但你必须这么做
去瑞士，因为你能赢
两个奖项中的一个价值200瑞士法郎
法郎，每张都是代金券
这是我们最新的puyo云
基于openshift 4的容器平台
我们刚刚发布的
几个月前，所以请
感谢您为我们提供您的
信息，你就有了可能性
赢得这两张代金券中的一张
另一张是电子科技代金券
哪一个是大的
电子商务网站在瑞士如此
你想买什么就买什么
喜欢……
你的生日
我们有更多版本的CNC会议
我们今年的计划是
五月八月和十一月的计划我们还在吗
五月有两个空位吗
五月已经有发言人了
如果你有兴趣在任何
这些事件
请通过cnc-meetup.ch与我们联系
这是一个直接带您到
这异象。Ch网站有一个表单
我们只想知道你是否愿意
就像在我们的活动上发言一样
你是谁，你想说什么
大概就是这样，基本上就是这样
我们需要的信息我会关闭
非常迅速地
请在YouTube上关注我们，因为我们
有愿景。你可以在电视上关注我们
github上的Twitter上的linkedin上的
Facebook, instagram，随便你
请跟我们来，真的真的很酷
我们正在发布非常好的信息
一直以来，谢谢你们，祝你们愉快
演示时记得填好
如果可以，如果有时间，调查一下
相信我，只需要五分钟
它非常非常短而且
回到今天的议程上来，我们要
从莫里茨开始，我要
取消我的屏幕，屏幕是你的
和
好了
谢谢你，Adrian，非常棒的介绍
非常有力，我喜欢
好吧
嗯，是的，嗨，我给你
介绍
我们如何将机密集合在一起
计算和kubernetes
尤其是我们的marburon项目
我想你们大多数人都很熟悉
kubernetes和所有这些
云原生的东西，所以我会拿一点
时间和
解释保密的概念
计算机，所以你知道我在说什么
关于
所以我们看到的世界还是我们看到的云
那是一个非常危险的地方
有很多
组件，人，派对，你必须
信任
有很多潜在的威胁
还有恶意行为者，如果你转移
你的工作负载你的数据
云你
本质上是放弃对…的保护
你的内部物理测试
分离
把你的数据暴露给这个
世界和
的
传统计算的一般概念
你能在里面创造一个安全的空间吗
云，你可以安全地
与和进行沟通和互动
从而保护您所有的好数据和
云中的工作负载
和
这听起来很有前途
人们当然很兴奋
新事物的可能性
类型的
您可以构建的应用程序
还有这些
额外的
安全和隐私保护
你可以你可以用这个来建造
技术
已经有一些例子了
现有的解决方案使用保密
计算
两个可能是最重要的
突出的是信号
内容发现的想法是
信号可以告诉你谁是你的联系人
是否已经在使用信号
暴露你的联系方式
给任何其他党派
将通讯录传输到云端
这是一个潜在的例子
嗯
恶意行为者可能会窃取它们
所以你的你的联系人会一直和你在一起
他们可以提供服务
另一方面，这是一种渴望
哪个是德国的电子处方
当前正在构建的服务和
推出了
有人跟我说
公司在一个
我们上周召开的会议
公开保密计算
会议oc3
最后我会有一个链接
幻灯片，我们也要上传
如果你在YouTube上
对这类东西感兴趣
我嗯
给你指出这是一个非常非常
这是一个有趣的雄心勃勃的项目
而机密计算则不然
只是存在于理论中的东西
这是
云服务提供商
积极地投资于
抱歉打扰你，我不认为
你在分享你的幻灯片
我不分享我的幻灯片，我不认为
你在共享你的屏幕
再试一次
它回来了吗?
现在我们可以看到你的屏幕了，谢谢
你太爱我了
你不是一直在看屏幕吗
我们只在
开始哦，好的
嗯
哦，那是那不是太糟，我
想嗯
我可以给你看
漂亮的图形，我有关于
就像安全云一样
环境
绝对是其中之一
与会者说，这是非常
即使没有幻灯片也很有趣
别担心，我有
我现在也把聊天设置好了
我试着监视任何有趣的问题
嗯
我们来看看是否可行
对，还有一些一些新闻报道
关于我刚刚谈到的约定计算
About和these是两个
服务信号和
拦截
是的，当我
剩下的是
我们现在看到了所有这些竞争
计算
涌现的产品
在云提供商那里
我们有一个
非常
极大地增加
那里的生态系统是保密的
计算技术，你可以
已经用今天来保护你的
工作负载和云
但这只是
非常高的概述，我想去
更详细地解释一下
这到底是什么，我们怎么能
实现这些
隔离的安全环境
云
所以
最突出的例子之一
保密的第一个概念
计算机是从填充SJX开始的
艺术品，所以总的想法是
你通常有云堆栈，你有这个
硬件和操作
系统管理程序，所有这些
orchestrational
层
最后部署应用程序
在没有任何东西就位的情况下
去相信所有这些层次和所有的
个人和公司
访问这些不同的层
现在有了机密计算和
特别是与SJX飞地的想法
是你吗?
在硬件上加点东西
情况下指令集扩展为
会让你孤立地创造吗
流程
在你的顶层
那就是
里面有你的数据和你的
你的数据和代码
(音乐)
将
在流程创建和创建时进行度量
会被证实吗
你在现场和现场都很正直
会被执行，处理器和
硬件会使
确保这里没有其他层可以
访问此代码和数据
有几个特征
这是我们在飞地看到的
那就是新加坡证券交易所
首先是隔离，所以我
说没有其他层可以访问
类中执行的代码数据
安全的飞地
你还有运行时内存
在运行时进行加密，即使你
能进入主通道吗
记忆的过程你不会是
能够窃取任何代码和数据
为了使它更有用
重要的方面是遥控器
从这个飞地内部就可以证明
你可以向外界证明
你是
在这样的保护下奔跑
环境也可以这样做
外面这样你也可以做
呃，证明
From From From你也可以From
外面的一个测试在某个地方运行
在输出中
从那里开始，你就可以建造了
你的应用程序和系统
你可以向你的用户打听对方
组件，您是安全的和数据
能与你共享安全吗
最后，它们有了密封的方法
状态，这样你就可以开始和停止
处理和存储数据，例如
磁盘，然后打开定子
只有在你管理同一个飞地的情况下
还是同样的身份
所以你不用担心
的持久数据和状态
应用程序可能会被泄露
后来
这
基于流程的飞地或这些SGX
飞地有
他们有一些限制
嗯
系统接口
所以
它说没有系统调用，但你可以
本质上它有一个有限的集合
你可以做的系统是具体的
到新交所，但一般来说他们不会
能进入系统的思科系统吗
每次界面你都做一个思科你
会让这个飞地进程继续下去吗
系统调用在操作系统中，然后
跳回飞地
这当然有很多
缺点是，你不能只是举起和移动
你的代码和数据你必须
特别是重新包装，重建你的
代码运行在那些进程的基础上
的事情
我们最近看到的一个发展
是,
允许真正的抬升和移动
不需要重新包装重建的东西
一种新的组合计算
一种叫做“或”的技术
嗯嗯
给他们机密的虚拟
机器短cvm
不仅仅是运行
安全onbase内的单个进程
而是运行整个虚拟机
包括里面的操作系统
这样一个孤立的环境
与硬件提供的想法相同
我们说管理程序，它不是
被信任来创建这样的安全虚拟
机器和加载您的图像安全
衡量它，然后你就可以执行了
不管你想要什么，这给了
你的能力本质上是真实的
抬起和移动，你有相同的
隔离运行时的特性类型
内存加密和远程适应
为了比较这些技术，我们
有
比如说，嗯
我们通常
区分它们
我们称之为可信的东西
计算基础是所有的
您必须信任的组件
您信任的环境
如果你用SJX为例
是的
保护个体个体功能
因此，将应用程序拆分为
单个函数调用进入一个安全的
昂科雷
这是你能得到的最小值
需要高度调整的应用程序
你的发展方向是什么
这
界面是第二件事
中间的某个地方就是你
将整个应用程序打包在里面
基于流程的条目
和
这意味着您的所有代码都在运行
进入稍微大一点的飞地
信任可信计算基础
可能还需要重新包装
认可之类的东西
需要的，然后是机密的虚拟
机器在你的右边
必须相信一切运行的东西
在这个虚拟机里面
操作系统也有较大的
当然是从下面攻击面
因为现在您假设管理程序或
任何在那里运行的东西都可以
从下面攻击内核
当然
很多事情都可能出错
那里，然后你有所有那些
在那里运行的组件
信任
比如suv
信息tdx
或
一些有
理论
即将发生的事情被称为武装王国
这里的想法是
你有升降和移动
现有工作负载的功能
介于两者之间
这两个世界就是硝基定律
飞地
哪一个
是
运行整个
实际上是虚拟机
它们的包装机制
特性集也有一点相关
更多的机密容器
你会的，所以很难
把它放到这个图里，但是
顺便提一下
介于两者之间
我们开发开源软件
使这些技术能够为……所使用
您可以构建任意的工作负载
将内容部署到利用
这些硬件技术的保护
然后隔离你的部署
你的数据
我们也有类似的概念
hth华体会最新官方网站产品，我们有三个工具
用于这些基于过程的
解决方案，特别是进入新加坡证券交易所
然后我们看到
如果你想在这里创建合适的
新型的
解决新型应用
那
建立在全面的概念之上
也许可以计算一下
实现一个用例，只有
在这样安全的环境下
比如多部分计算的环境
嗯
我的训练是基于个人数据的
从可识别中识别
信息呃数据
诸如此类的事情，然后
右边我们有一个工具
这是上周发布的
使用机密VMS创建整个
kubernetes集群
在这样的执行环境中
你可以想到
运行kubernetes集群
公共云
当被完全孤立的时候
不需要任何不需要信任
公共云的任何部分
云提供商
无法访问您的群集的
任何
所以如果你想抬起和移动
这个这个工具就是为了这个
用例
在这次演讲中，我将更多地关注
左边在
你怎么能
也许可以开发云原生应用
重新打包云原生应用
在进程内运行的地方包围或
你可以编排和扩展它们
最后把它们积分在一起
Kubernetes要构建可伸缩的
保密的应用程序
我要提的第一个工具
这里简单地称为自我
当我们开始的时候，我们注意到没有
实际上没有go运行时
为
保密计算
在gx类中，所以我们
我们是
基本上稍微修改了一下黄金
编译器，所以它不做
系统调用，而是进入
处理以下问题的能力库
系统调用层，所以它可以在里面运行
安全飞地，然后我们试着
最简单的工具
为您的互动和包装
并构建您的应用程序，让它感觉
就像任何其他go开发一样
过程中不要陷入麻烦
理解如何建立和
打包到SJX飞地中
或者会很麻烦
所以我们有三个简单的命令
像编译器那样编译
生成一个蓝色二进制，然后我们
签名，因为每个SDGX iPad都有
待签名和此步骤还包
你的整个iPad，然后你就可以
像你跑步时那样跑步
它会加载你的飞地并运行
你的go代码在里面
对我们来说，这感觉非常
自然是我们平常的共同发展
工作流和，我们用这个for
把
Go应用程序和大多数本地程序
是用手写体写的，所以我们能带的最多
云原生的东西
来
那些安全飞地，这样我们就可以
隔离并保护我们的个体
工作负载
我们有一个很酷的例子吗
比如说，我们在哪里
拿烟熏烟来说吧
hashicorp的关键值
常用于向…分发秘密
例子
在一个安全的飞地内奔跑
和
当我们
有
我们
保护了我们自己的原创吗
工作负载
当然还有其他的工具
其他语言也存在一些
可以或多或少运行的库资产
各种不同的语言和
不同的
各种各样的应用程序
我们做了go部分，然后我们有了所有的
我们可以举起和移动所有的大部分
云中的工作负载，我们
需要
进入安全飞地
然后第二个问题就出现了
和
当时的问题是，现在我们有
个人工作量如何带来
他们在一起
对于现代云原生架构
我们如何做一个微服务系统
并连接这些单独的服务
这样我们就可以安全地分发和共享
这些服务之间的数据
一切都是端到端的安全
我们又怎能保密
像我们通常做的那样编排
在kubernetes里面
Kubernetes所有的Kubernetes组件
我们的节点，我们的控制平面
他们都不被信任，因为他们不是
完全由云控制
提供程序或在云内运行
提供者控制基础结构
因此
我们想出了一个叫做大理石的项目
运行
所以这个想法是我们可以
使用现有的编制工具
的kubernetes
然后加上
一个值得信赖的政党
我们说一个可信的控制平面
处理好所有的管弦乐
你要完成的任务
呃
分布式机密应用程序
所以
对我们来说，机密部署意味着
当然
个人保护我们的工作流程
这意味着对数据进行运行时加密
然后我们需要
以某种方式验证拓扑结构
我们的应用程序的功能
需要确保这一点
基础设施的任何部分
现有orchestrational
层是不可信的，也不能
访问我们的
我们的保护工作所以所有
管理员
云提供商和任何
所有能看到通话内容的人
基础设施
要么是有意的，要么是通过一些
恶意行为
我们解决的具体问题
玛玛伦是我们可以作证的
的完整性和保密性
一个容器或一部分，如果你愿意
另一个
所以如果一个服务想要共享数据
另一个怎么能确保
另一个也在运行
安全入口
然后我们如何
验证这个可能的整个部署
在整个过程中按比例放大和缩小
作为一个简洁的申请
外
因此客户端管理员可以进行验证
在与它交互之前
一个非常具体的技术
问题是我们想提供一些
相互TLS的形式，所以你可以
就像TLS一样
卸载通常是由
服务网格
解决方案
但我们不能使用现有的解决方案
因为它们不会终止TLS
实际内部的连接
中的应用程序
它们在站点内终止
Car，然后通过localhost
我们可以信任localhost，因为它
叫做基础设施，所以我们需要
终止我们在
实际臂板内应用
然后是一些管弦的任务
比如我们如何传播秘密
Kubernetes是不受信任的
控制平面等一切都不是
信任你就不能用平常的方式了
配置和机密管理
你还想做这个
所有这些都是可更新可扩展的
类似的东西
所以在现代，它看起来是什么样子
就像从一个工作流工作流
的角度来看
你会像往常一样安装
小事情都有编排
各种集群可能安装表面
网状连接器d
然后你会安装一英里运行它
会使移动和控制飞机失速吗
我们通常称之为
协调员，如果你听到我说
协调器，这是控制平面
控制平面部分，它运行在一个sg内
所以它保护了自己
而且可以从外部验证
所以开发工程师可以验证它
给它一个
构型，这是，这是
我们称之为清单的配置
它包含了
我们的保密申请
看起来应该和你的样子差不多
为kubernetes编写您的yaml文件
描述
嗯
你的个人牌坊是怎样的
确定他们的测量值是什么
它们应该如何配置
他们应该知道的秘密
是
只要你能定义一些
基于角色的身份验证
有一些
保密一些相互的TLS配置
这类东西，你定义它
在那里
然后你会安装你的
应用程序和你的应用程序
用…建造
自我
和另一个一起
为您的工作负载划分运行时
他们会出现，然后
他们有一个小的
是的
一个连接到的小垫片层
运行大理石并进行身份验证
根据你的清单
，然后提供
有秘密配置
和
TLS凭证和这些TLS
然后可以使用凭据进行连接
这些服务结合在一起
所以它们被用在互用TLS中
到其他服务的连接
他们有一个根的信任
我们的拆弹组提供的证明
控制飞机
这样就可以一直是真实的
用于认证其他用户
您的服务
在你的服务网格中
现在我们有一个完整的
连接
应用程序一切都在运行
然后用户就可以继续了
并连接
来
比如你的前端服务
类似地，用户可以连接到
的maverian
协调员
获得另一个站的声明
包含一个um a
基于硬件的
例如车站的SGX
陈述可以被验证，然后
这条路也包含信任这条路
然后使用的根证书
验证每个连接
或者可能验证每个连接
到应用程序，所以你设置这个
根证书，然后连接您的
前端
并验证TLS最后一次连接
通过这样做
这就是一般的工作流程
人造黄油负责协调
如果你现在扩大规模
它连接的另一个容器会弹出
人造黄油是经过认证的
有资格加入我们
网合集机密
服务，然后
就像往常一样从外面工作
你总是可以验证整个
使用mamaron协调器进行部署
把这些放在一起
带着自我
当然还有另一块飞地
运行时，马华龙和一些我
今天根本没提过，我打过电话
Atlas db本质上是一个数据库
完全在安全区域内运行
并且有一些增强功能
到它的存储加密
差不多吧
一个
Mariah db front和
耦合
用岩石稍加修改
rockstd后端
对于端到端的安全数据库，所以我们
如果你需要一个存储空间，就用这个
需要保密的解决方案
计算分级
然后我们把这个和
再运行一次，你就可以构建一个完整的
端到端机密原生应用
在大多数情况下，没有代码更改
如果你在使用ego，就需要
或库作为运行时
其中一个例子是
开放服务网格书店的演示
发球扣杀是一种
发球扣球，我觉得是
云嗯
这是
现在是CNCF的一部分
CNCF项目，他们有一个演示
应用程序调用书店和我们
用这三个人保密
组件
如果你想
看一看
我们有一篇关于我们如何做到这一点的博客文章
所以请
请查看一下
我有一个
更小的演示，不是那么复杂
可以很快
快速显示准备就绪
让我切换到控制台
所以
我有一个簇
在错误准备中，能够运行
SJX飞地，我们可以通过
跑立方盖
首先，我们有
三个节点
让我来描述一下
其中一个笔记
你会看到
这里发生了很多事，除了你
会看到这个节点
暴露
关于影响力的2022世界杯阿根廷预选赛赛程三个资源
Jx，这个节点配备了
最新的SDX硬件和
要运行的功能
sjx
剪辑在那里
和
到目前为止还没有什么进展
有一些一些sg设备驱动程序
具体的东西，但到目前为止，它是
香草哦
Aks Edgar，又名Aks cluster，我可以
把妈妈装在那上面
安装
很快就能安装
控制飞机
我们可以等这事结束
运行检查
,嗯
我们要安装的应用程序
下面是一个非常简单的演示应用程序
从链接器d服务网格
那
提供了一个表情符号投票平台，即
三个服务
一个前端服务另一个前端
服务与web界面，然后
有价值的东西
选票
或多或少是一个有状态服务
一个服务提供了一些
在本例中是应用程序逻辑
提供emojis
所以当现代准备好了
我们应该能够配置
如果在此期间有个问题
给你的，在q和一个我没看到的盒子里
我很抱歉
不，没关系
在我们等的时候，也许你可以回答
有一个问题
你能看到q一个盒子吗
(音乐)
一秒
现在聊天打开了，我得走了
回
但我可以读给别人听
如果你想，请继续
所以jan bosniak问你能不能
分享一些性能基准
很好奇会在哪里
大部分开销如果有的话
Enclave创业公司或思科slash自我
或打电话
这是个好问题
他们
特别是对于基于过程的飞地
那里有
开销会很大吗
的
飞地创业公司还不错
我不能给你确切的数字
说实话，但是
性能影响越大
当然，如果你有很多电话的话
来电说明你是对的，你确实在协助
电话,
你的鼓励必须得退出
安全的环境然后
返回
稍后再处理这个问题
这样操作系统又返回了
例如，如果你做了很多IO
总是由jankv能做的系统来处理
这是它自己的，尽管
有
实现无开关插座的人
你不需要进入的地方
积极联系，但是如果你
你有很多这样的表现吗
影响将会更大
嗯
这
与最新的迭代
SGX和隔离机器
他们能够减少这种开销
很多次，所以你通常
可以往下看
嗯
把百分比变成个位数
开销
但
这很难用一种
一般来说，这取决于
你的申请类型，但我想说
你可以让它发生
绝对是个位数
我们有一个
我们在人工智能管道中实现了一个
伊甸园
在哪里
我们可以进行比较
cpu
推理和训练比较
还有CPU只有嗯上英特尔比较
飞地,
非飞地，这几乎
开销可以忽略不计，所以你很接近了
2比0的开销
很明显，它的IO值要小于
其他的应用
让我看看
这是怎么回事
好吧
也许只是花了太长时间
现在我可以曝光
API的Mavaron协调器
到localhost，简化一下
当然你也可以把它暴露在外部
但是为了演示
复制这个命令，让我们来倒
将此服务转发到我的本地
主机，这样我可以快速访问它
和
然后我可以得到
玛玛龙根证书所以这个根
信任
我在这里用的是马龙印
是否自动验证完整性
在我的控制平面中，你也可以这样做
手工或验证
的
哦
给定的证明声明由
但这是中央情报局的事
自动
好的，让我们保存证书
这里
好了，现在我可以用这个了
认证所有其他的证书
与任何一方的连接
我的任何一项服务
在我的集群里
这就是我要做的
所以我现在可以继续了
配置
我的部署，我有一份清单
躺在
为了…
表情符号照片投票
应用程序，让我们快速看一下
它是json格式，它定义了一些
包
把它想象成
应用程序的容器
包含的测量
在这些容器里的腋窝
和
在包裹旁边，我往下滚动
但我要跳过基础设施
弹珠，叫做弹珠跑
所以这些玻璃球是
或多或少映射到内部的POTS
你的kubernetes集群和每个
从本质上讲，大理石有一种包装思维
它就像飞地的容器
然后
这些参数
包裹应该收到，这可以
任何事情都要像环境一样
文件
诸如此类的
在这种情况下，我们也定义了一个TLS
标签
手动互无t配置在这里
但是他们会自动提供
有节奏的自动互音
如果我不这么做的话
在这里定义它
我有一个
让我们跳过
客户端和角色没有角色
我可以定义角色
比如能够更新的人
某些包裹有人能够
恢复哦
如果
如果这整件事
因为某些原因需要被转化
重新开始
但是让我们保留所有的
秘密的定义
这里的秘密是
是
应该由。签名的证书
马尔伯勒根证书和
这个秘密后来被用在我的
稍微介绍一下TLS配置
下面我要说的是全部
从我的网站前传入流量和
要用这张证书去到吗
向客户展示
然后我说好吧我的表情符号是
的
应用程序逻辑
这里的服务应该接受传入
在8080端口上使用TLS的流量相同
为了投票服务和我的网站
服务
连接到这两个服务器
在这里配置的传出连接
你会发现
在我们的github库中，我们有一个
这个多投票应用程序有一个
有一个github存储库
你感兴趣的话，看看
给我多一点时间去理解
这里列出的所有东西
但我可以简单地部署这个清单
使用c线
然后我可以在任何时间，任何点
到时候我可以证实这是正确的
清单已部署
为这次部署做好了准备，那么有谁呢
能做的
Maveron验证有一个API
你当然可以用
使用命令行界面但是
任何客户端都可以使用API来完成
同样的操作验证
清单
是
它远程部署在我的集群中
是我在本地的那个吗
当然，我只是把它设置成这样
没事的
从那时起，我就完蛋了
配置我的运行
我可以安装我的实际应用程序
在这种情况下，我使用头盔
安装表情包应用
然后我就可以等整个过程了
上来
可能要花点时间
如果这个完成了，我就可以
进入网络前端，我要
本地主机端口是否重新转发
因为我还没准备好
这是一个公共IP地址
部教室
好吧，让我看看
还有什么问题吗
最后一个要来了，让我准备一下
端口转发
假设我做了
也许80年
在本地主机
然后去我的
web浏览器
哦
(音乐)
哦,不
这是在我的vm中运行的
需要当然需要
需要把它曝光
好吧
然后显示一个证书错误
因为我的浏览器不知道
Mamaron根证书
我当然可以
嗯
配置它，所以它会
这作为一个字证书，然后我的
Browser会知道的
验证这一点
在此申请证书上，然后
我有联系，我可以用
照常应用
好吧
所以总结一下
cc使
系统是空的、安全的、可验证的
创建安全的环境
云让你可以使用
你可以你可以把工作量转移进来
没有
的风险
泄露给任何恶意的人
政党或潜力
云中的演员
如果你对这些工具感兴趣
只是给你们展示了一下
请访问我们的网站或github
一切都在
所有的链接你都会看到
找到工具后，您将找到演示
我刚才给你们看了
如果你对这个话题感兴趣
一般
我们上次开了个会议
周
与
整个行业的人都有
来自另一个cto和
这次会议的所有内容都会引起轰动
在我们的YouTube上
我想你可以找到链接
我们的网站，或者你去YouTube
搜索oc3
是的
我还做了一个演讲
和这个类似，我也
介绍了
星座工程产品
上周发布的那个
让你真正的提升和转移
如果你不想建新的
应用程序或具有较小的TCP as
我刚才给你们看了，但是
想把所有东西都举起来，变成
关于或在…的私人环境
私有kubernetes绝对绝对
看看这个
是的，就是这样
非常感谢
优秀的
太感谢你了，莫里茨
真的很有趣，我们要去了
现在就直接去下一站
如果你愿意，请保持在线状态
想问更多的问题，我们要走了
有个疗程，就在
最后一讲，如果你愿意的话
你也可以把它们贴在邮筒上
我会把他们直接引到
莫里茨，但没有
我们直接跳到梅丽莎
非常感谢莫里茨和梅丽莎
舞台是你的
正确的
很高兴来到这里，我很高兴
我知道我们一直在经历这场大流行
在过去的两年里
优点是能够
不去瑞士就去瑞士
到瑞士
但
总有一天我想去看看
瑞士，但我现在是
在科罗拉多州丹佛市
享受
虚拟活动的机会
现在就在这里
我要和大家分享我的屏幕了
好的，今天我要和
你们对无损图像有一点了解
保护您的docker映像
我不喜欢
这是非常详细的信息
相当高的水平，我认为很简单
用容器使用容器，尤指用
这是一群特别的听众
你每天都做但很简单的事
沉迷于使用它们
没有
想想下面发生了什么
所以在建立谈话的掩护
关于分布式容器，我想
只讨论一般的容器
以及被子下面发生了什么
这是对演讲的一种修改
我过去做过的事情有一个
这次演讲中有很多关于docker的讨论
但你要明白这不是一个深
潜水或者docker教程什么的
有很多好的文档
已经写好了，所以我想做
有点不同的东西
也许回去看看历史
容器和我们是如何
在这里
好的，关于我在哪里
来自我是梅丽莎·麦凯我是
目前是开发人员的倡导者
但在此之前的20多年里，我有
做过软件开发人员和工程师
在不同的公司担任不同的职务
主要是我的
我的语言是Java，我研究的是Java
服务器端服务，但我很少遇到
现在的Java开发人员不是
参与其他类型的服务和
语言，尤其是刚开始的时候
知道如何使用微服务和
让更小的服务出现
跑步是我的最爱
在别人身上也有经验，嗯，我的最多
最近的软件经验
发达之前的发展
成为开发者的拥护者
把我推向了新的领域
这是我工作时的地盘
在一些团队中
练习开发，我得到了
很荣幸能了解更多关于
我正在开发的应用实际上是
我被派去了，还暴露在一个
devops生态系统中的各种工具
其中一个工具就是docker
当然，这就是我的演讲方式
最初我才开始
从我自己那里收集信息
体验式学习越来越多
以及如何将我的应用程序容器化
其中一些是反复试验的结果
我有一些有趣的故事
这是我的联系方式，你可以
总是在推特上找我
课程
我继续，这些幻灯片
可以用，但我还是把
我的
在聊天中使用Twitter手柄
它
我最近成为了码头冠军
或者是码头船长和Java冠军
几年前在jfocus，就是这样
这很令人兴奋
(音乐)
好吧，jfrog喜欢做，喜欢
把东西送出去，这样我就不能跳过这个
你可以去这个链接，我继续
把这个也放到聊天中
jfrog会给你一个机会
参加并赢得一对airpods pro
您可以使用二维码或
当然还有链接
嗯，实际上是这样的，我想
这是一个精细的连接，然后是赢家
会不会在三年内被选中
几天后，他们会联系获胜者
通过电子邮件和一旦获胜者接受
他们将分享获胜者的奖金
在聚会组中的名字
社区
所以不要错过那令人兴奋的时刻
好的，今天的日程安排我会讲一遍
容器的历史
我会讲一遍
关于容器的一点实际知识
生活，我们会回顾一些
集装箱里有很多这样的东西
可能是回顾
有时候我们需要被提醒
这些事情，然后然后我将进入
Dystrolis图像和它们是什么
关于
好了，让我们开始学习吧
关于集装箱
我我知道那不是你的形象
期待但
我对自己承诺不使用
任何
任何
集装箱图片和任何
又谈到容器了
我想我已经看过太多次了
这个主题是香蕉，希望你们喜欢
它
和
我只是想多谈谈我们的
工业已经适应了应对
2022世界杯阿根廷预选赛赛程随时间变化的资源
当我把这些幻灯片放在一起的时候
想起了一个故事，我的
爷爷会告诉我的
成长的过程中
他成长的年代很艰难
在美国的大萧条时期
当他还是个孩子的时候，他们会得到一个
圣诞节的香蕉
这大概是在20年代或30年代
很久以前的事了
但是香蕉是一种罕见的享受
我祖母家还是我的
祖父的家人，他们会得到这个
他们会用铲子刮香蕉皮
用叉子把能吃到的都吃完
然后那可能不是最
很好的类比，但是我
当我想起那个故事的时候
计算资源是怎样的2022世界杯阿根廷预选赛赛程
60年代和70年代非常有限
昂贵的
做任何事都要花很多时间
通常一台电脑会被专门用于
完成一项任务需要很长时间
对于单个用户
所以这些
这些时间和资源的限制2022世界杯阿根廷预选赛赛程
造成瓶颈和低效率
并且能够互相分享
其他是不够的，我们需要
一种分享的方法，而不是相互参与
其他的方式
还是有一个人不经意间引起的
整个系统都会崩溃
所以这需要一个更好的需求
策略和共享计算资源2022世界杯阿根廷预选赛赛程
这就开始了一场大规模的
我们经常看到的创新之路
从今天开始获益
在时间上有一些关键点
那
我要说的是有很多
当然还有其他事情发生，但是
这些是一些亮点
这让我们变成了现在这个样子
今天带着集装箱，我要走了
从塔罗牌开始
改变路线
它诞生于1979年
第七版的发展
Unix和它被添加到伯克利
1982年的软件发布
这种改变词根的能力
进程及其子进程的目录
导致了秩序上的一些孤立
为测试提供一个环境
不同的分布，比如
当这个工具
最初被输入到源
用于测试的代码
目的
这是一个伟大的想法
一些具体的问题，但更多的是
当然需要
监狱命令是由
2000年的Freebsd
复杂的比根和它有
提供进一步帮助的附加功能
隔离文件系统用户和网络
它有分配IP的能力
每个监狱的地址
在2004年，我们遇到了solaris
这些区域甚至让我们领先
进一步通过给一个完整的应用程序
用户进程和文件系统空间和
访问系统硬件
solaris也拥有
不是介绍，而是强调了这个想法
能够快照文件系统
这在什么时候变得非常重要
你在运行容器
然后在2006年，谷歌加入了
它们的过程容器稍后
重命名c组或控制组
都是围绕着隔离和
限制进程的资源使用
2008年，c组继续前进
合并到Linux内核中
与Linux一起，名称空间导致了ibm的
Linux容器的开发
接下来是2013年，这是重要的一年
多克来到现场，带来了
他们包装容器的能力
将它们从一个环境移动到另一个环境
另一个是同年谷歌开放的
他们让我来装这个
您的项目提供了应用程序
创造和管理他们的能力
自己的子集装箱，从这里我们看到
容器和码头的使用
尤其是爆炸
2014年，docker选择换掉他们的
使用lxe工具集进行启动
容器与lib容器顺序
使用本地golang解决方案
当我第一次意识到docker是写出来的
我很惊讶我真的没有
你知道这是什么吗
有趣的琐事
跳过一些细节
有很多不同的项目
这些都是成立的组织
规格出来了，但只有一个
事件
这在2015年6月非常重要。
这一点很重要，因为
它让你对一些
背后的活动和动机
市场的变化
关于集装箱
开放集装箱的倡议是
建立了
这是一个隶属于
包括成员的Linux基金会
来自许多利益相关者，包括docker
以创建开放标准为目标
用于容器运行时和映像
规范
当这一切发生在
容器世界有几个
还有其他的约会
尤其对Java配音和
太自私了，我要告诉你
这里有一些Java的东西
对你们中的一些人来说
Java 7发布了
2011年7月，工程开始
Java 8是在2009年3月发布的
2014.所以当你开始集装箱化
特别是Java应用程序
这段历史很重要
知道，因为你知道有一些
这个发展的问题
Docker和Java的开发
有一些失误和中断
这些都是后来才解决的
好吧，集装箱到底是什么
我们来快速看一下
现实生活本身就是容器
在你们的系统中是这样的
是我做的第一件事吗
开始学习容器
一般
我来告诉你它是如何储存的
下面到底发生了什么
涵盖了
这可能对
那些部署你的容器的人
自己知道不一定用
编排，但仍然很好了解
有一些有一些事情
如果你不付钱会发生什么
注意文件系统是怎样的
被使用
(音乐)
我的第一次经历
我是一个新项目的开发人员
当然是标题截止日期
通常是这样的，我可以这么说
大多数项目都是这样开始的
对我来说，最好的办法就是
跳进去，开始做点什么
在我的机器上运行，非常
我想亲自动手，我想亲自动手看看
会发生什么
docker文档实际上是
很好，我这里有一个链接
滑到这里
当然很容易找到，所以如果你找到
你的处境和我差不多
当然很多都是过去的事了
你
但我绝对推荐你去
他们的入门文档
列在这里
,嗯
首先要注意的是a
Docker映像实际上只是一个tarball
一个完整的文件系统，当一个镜像
是拆包的还是扔进自己的
成为根文件的目录
系统
第二个
是,
运行中涉及的进程
这些容器只是普通的Linux
流程
最重要的是，只有一些Linux
以某种方式一起使用的特征
以达到我们所期望的隔离
从容器
名称空间
是很重要的
这是用来提供虚拟的
这些容器之间的分离是这样的
这个过程是怎样的
容器不要干扰主机
或者是进程内部的过程
容器
这里
您可以看到名称空间
准备好了
Postgres容器，我的
机器不转了，今天我把它转了
今天请假帮你们收拾残局
但是我我刚截取了一些截图
顺便说一下，我用的是MAC电脑
你会看到一些MAC命令
好吧
c组的功能也是
在限制a的多少方面是必要的
容器可以使用CPU内存之类的东西
网络带宽等我可以设置
这些约束包括选项
在docker上运行命令时启动
一个图像，当然这些都可以设置
也使用了编曲
不一定是码头工人
运行时也可以，但这是for
本地盒子上的开发
这里你可以看到我你知道的
启动了一个容器和我
限制了
我的容器运行的内存限制
然后是更多的细节
存放容器和映像的文件系统
是先储存后储存的吗
您已经安装了docker运行
命令docker信息会吐出一大堆
有关安装的信息
使用docker根目录和这个
那是你要去的地方吗
关心你的医生形象
容器将被储存起来
如果你用的是MAC电脑，当然这些是
实际上在一个很小的虚拟机中运行，所以你
需要用到我用过的工具
使用屏幕，但这不是真的
一致且可用
所以，等一下就不行了
版本，所以为了
进入这个目录
看看周围发生了什么，然后
我有一个
命令这里是一个docker运行命令
启动另一个容器
进入网络的uts命名空间
命名空间和ipc命名空间以及它
瞄准那个坑，这样你就可以
找一些关于这个的信息
根目录
光是导航就很有趣
在里面转转，看看是怎么回事
启动容器和时的更改
删除图像之类的东西
我用的是更新版本的Windows
订购Windows盒子已经好几年了
从我用Windows开始
我发誓我再也不回去了，但是
最新的WSL
他们在网上买的东西
我不认为它是Windows 10及以上版本
他们有奔跑的能力
Linux容器本地使用WSL
Linux的Windows子系统
这里有一条路，我就是在这里
查找根目录所在的位置
在Windows系统上找到
所以我很高兴能买到那台机器
准备好了，还得等一会儿
在送到这里之前，但是
会很酷的
好的，这张幻灯片展示了一些
关于图像位置的信息
存储在您的系统中吗
我有
我的可用图像只是使用
Docker images命令查看它们
几个安装的um
我在这里展示了一些
呃
我可以用它来检查任何图像
图像id和这个吐出了大量
信息但是我想强调的是
下面是图形驱动程序部分
它包含了一些路径
目录中所有的层
这些图像
生活
所以医生的图像是由层组成的
你们大多数人已经知道了
代表
或不
它们与指令相关联
原始docker文件用于
构建
原来的图像和这些
直接翻译到目录和
这些层可以跨
图像，以节省空间
下层和上层合并
下面的部分很重要
目录包含所有的
目录或层是用来
构建读取到的原始图像
只有
upper dir目录包含所有的
被修改的内容
这个容器正在运行
如果需要修改
只读的层
在低处
然后将这一层复制到上层
可以写入的目录是
称为写时复制操作
记住这一点很重要
上面目录中的数据总是
短暂的数据只存在于
如果您有数据，容器就会存在
显然你想保持它的完整
您需要使用挂载或卷
特点和um要单独安装
位置或单独的驱动器
或
访问数据库之类的
最后，合并有点像
虚拟目录，它结合了一切
从下硬脑膜到上硬脑膜，还有这个
这就是联合文件系统的方式
作品
复制到的任何编辑图层
上面的dir将覆盖图层
较低的dir，如果你在里面执行
你会看到这个容器
(音乐)
这只是其中的一个例子
在系统上运行的容器
我有一个jfrog容器注册表
这个装置已经很老了
我不认为我们有可用的方式
但它包含了一个容器
人工制品和容器
另一个是Postgres数据库
我玩的一个简单的测试容器
在
正在运行的容器id
容器与容器匹配
子目录的名称
还记得
如果你停止一个容器
对应的目录没有
自动离开，直到那个
容器实际上是用
执行Docker rm命令
所以如果你已经阻止了容器说谎
尤其是在你的本地系统上
而且从来没人清理过
你可能会看到测试系统
可用空间开始减少，所以采取
我很关心你之后的清理工作
你自己有一个码头系统修剪
我经常用这个
Docker工作坊，因为我想去
重新开始
你可以运行它来帮助清理
删除所有图像，删除容器
或者你可以放一面旗帜
为了表明
当容器被打开时，应将其移除
运行结束之后
显然这些东西也被处理得很好
在编排框架中也是如此
我们一定要使用它们
所以这些工具集围绕着建筑和
运行所有这些图像
事情如此简单，拍摄起来也很容易
你自己在脚上的几个地方吧
会不会特别简单
人们刚刚开始学习，所以我
我要讲一些最
常见的陷阱很快就会出现
我将包括一些JVM特定的陷阱
就像我马上遇到的一样
我首先开始使用容器
第一种当然是以root身份运行
说实话，一开始我是
一开始我很兴奋，我
只是我没有真正接受这个
足够的重视
但是现在
你知道进程里面有一个在运行
容器和其他容器一样
系统上的进程现在很可怕
在容器中以root身份运行
这就有可能
进程逃避预期的限制
并且可以进入
主机资源2022世界杯阿根廷预选赛赛程
减少你的攻击面
容器遵循的原则
最小特权
这很重要，尽管容器
设计不影响其他运行
集装箱，如果有人的话
获得对容器的访问权限
并立即拥有root权限
也会对你的宿主造成严重破坏吗
那么我们如何缓解这个问题
最好是在你建造的时候
图片
首先要确保你是
创建一个新用户，你可以用这个
用户命令在docker文件里面的时候
容器是为了运行而构建的
作为该用户进行处理
你也可以指定user
运行docker run命令
留下了…的可能性
忘记做这个，这样很好
如果它是内置的，你的
生产镜像是默认设置的
到目前为止，许多公司都没有以root的身份运营
有没有制定政策之类的
防止这种事发生，但是我
我所在的团队中就没有这种情况
给予足够的重视
还要注意这些官方的
你从docker hub得到的图像
需要知道他们是否像
Root或者如果你需要的话，你知道构建
另一张图片在上面
为了解决这个问题
即使docker为您提供
设置资源限制的能力
容器，它不会自动完成
对于您，默认设置是免费的
对所有人都没有限制
所以一定要了解资源
应用程序的需求
太少，容器就会死亡
当然是因为饥饿太多了
这个容器可能会让其他人窒息
系统的资源使用情况
容器是你
希望随着时间的推移进行监控和调整
需要，最好确定是否需要
有什么地方出了问题
由于某些原因，您的系统发生了变化
您可以使用监控信息
来确定您的应用程序是否需要
与某物进一步分开
行动规模不同，我进入了
整个过程是在一个团队里进行的
我们划分应用程序的地方
分成更小的部分，我们可以
规模很像我们的前端
与后端服务不同
当然，这个永远不会更新
是一个巨大的
安全问题，而且很容易得到
沾沾自喜不注意的是什么
实际上是在你建造的时候被拉动的
图片
你不仅需要知道
中指定的过时版本
你的docker文件，但你需要付费
注意基本图像中的内容
它是它来自于
不更新这些包和
你知道，图书馆可以引导一些人
非常尴尬的结果
当现在有工具可用的时候
现在到处都是提醒你什么时候
已发现安全问题
有特定的文物，我会展示的
你马上就会看到这样的例子
嗯即使你知道即使你去过
只要你保证你的容器是安全的
使用非特权用户运行
如果知道了，还是有风险的
存在于你的
容器，甚至内核
所以主机时不时的漏洞都是
发现
这些使攻击者能够逃脱攻击
集装箱，所以要跟上那些安全措施
更新
嗯
这是Java特有的
这和那个有关系
Java和docker的协同开发
容器
对工作申请来说非常具体
但重要的是你永远不知道什么时候
你得把其中一个装进集装箱
JVM在以下方面非常聪明
自动确定设置
你的交换，堆和垃圾
收集行为基于
内存和核数
主机可用
还记得我们之前讲过的
我提到了Java 7和
java 8。
考虑到
Docker和Java发布了Java 7和
版本8和更早
不是完全容器感知的意思吗
而Java应用程序不会
一定遵守
那些内存和CPU的限制
你把你的容器，你可以
以一些记忆之外的惊喜结束
杀手活动，这就是
发生在我身上
这意味着
嗯你
您知道Java应用程序不是这样的
要
表现得像你期望的那样
原因在于机制
JBM在这些旧的
版本来检索资源2022世界杯阿根廷预选赛赛程
这些实际上是来自宿主
机器和对照组没有限制
你期望他们来的地方
从
有一些改进
引入了容器意识
在Java 8中更新131
还有进一步的改进
后来的版本，但真正得到所有的
容器感知的好处
至少应该学习Java 11。
这是LTS发布的最新版本
当然结果是17，所以如果你
跟上那些很棒的人
(音乐)
然后图像膨胀这是一个很大的
一个嗯
我很快就学会了
嗯
在docker忽略文件中，所以当你
当你建造的时候
docker映像
嗯通常
你可以在末尾打一个点
这个命令是构建命令
说明是的，这就是我的码头
文件是这是上下文的意思
我在文件系统中的位置
我想发送的结构
到docker守护进程来构建这个映像
你所寄来的，但愿做得好
如果你用其中一种
docker中的这些全局复制命令
你可以复制文件
你的。git目录
你不知道你想要什么吗
在生产映像中拥有
我经常看到他们复制整个
源代码树在一行，意思是1
这层意思是如果有什么变化
这个特别的
这一层的文件集
每次建造都会再生
组织你的代码
的东西
变化最频繁的是它
自己的层
也许可以考虑一个实现
的一个层和抽象
不同的层
这是一个想法
当然还有避免
你知道，在你的秘密里
如果
即使你经历了努力
就像在你的docker文件中试图
删除的东西
它们仍然存在于前一层
因为每层都是不同的
层
之前
所以
还没好到让你
Docker文件和删除的东西，我已经
实际上已经看到了
事情不是这样的
你也知道如何使用a
多级docker构建是一个好主意
这是相对较新的东西
生态系统能够
以这样一种方式建造你没有的地方
包括额外的包装
工具和maven之类的东西
比如NPM之类的
只需要你绝对需要的东西
你所建立的最终形象
(音乐)
好的，发行版列表，所有这些构建
要明白为什么人们在寻找
在无损图像
所以,嗯
你知道的，把一个大块头家长拉进来
基本图像，即使它是
相对安全的
来自码头的官方图片
包括一堆你不需要的东西
需要它们可以增加你的攻击
从安全角度来看，表面积
并将这些大图像四处传播
储存它们会变得笨拙和
又慢又贵，因为我们都
现在还付了存储费，还有这个
让我想起我要约会的人
我自己有点，但记得什么时候
我必须付钱
你知道我每发一条短信
我希望能有手机
我们会解决这个问题的
我们使用的字节
但这就是我们今天的处境
所以我们需要管理我们的资源2022世界杯阿根廷预选赛赛程
小心翼翼地
嗯也
发行版列表容器实际上不仅如此
你知道的，他们会刻意去脱光衣服吗
所有你不需要的东西
你想要最小值
所需的包
应用这意味着你甚至知道
将操作系统剥离到最基本的部分
最小这意味着通常没有shell
那个容器里没有执行官
一旦它跑出去了
实际上这是一个很好的安全措施
还有需要考虑的事情，我知道
使故障排除更加
很难，但如果你必须执行
在生产中的容器中
一些更大的问题正在发生
你总是可以在你的
你可以开发的开发过程
你们知道调试
键入容器或图像以便
超越这些
这是一个多阶段的例子
这样你就能收集到
无发行版容器从这个链接
在这里
这些都是谷歌做的
他们用巴泽尔做的，所以我
意味着他们没有使用docker来构建
这些只是图像
他们已经建造并拥有了他们所考虑的
大多数都是可靠的，都是
基于debian
我要把它放进去
链接在这里，所以你不必
如果你想查一下就把它输入
出去看看他们有什么，他们只是
有几个，他们是他们是
语言特定的
我们一会再看Java的例子
无论如何，这是多阶段构建通知
有两个from表述
最上面的那个，你知道的
完整的开放JDK
嗯
映像，然后进行构建
嗯
然后是第7行
从语句来看，这就是这个格子
这是第一组的结果
被分到第二组，然后呢
使它非常小，非常小的图像
最后还是没有壳层
不能精确到这个图像
好了，再提一下
管理你的形象，我将带来
在jfrog人工制品上展示给你看
我才不去呢
我跟你说了一大堆，但我还是说了
继续
调出一些图片来看看
它们看起来像
只是命令行，这样我们就可以看到了
如果这些无分布图像更小
我就是喜欢相信这些
但我总是想要验证
我们来看几个例子
快看他们长什么样子
这是我最不想说的
关于这张幻灯片
我确实有
集装箱上有d区休息卡
注册中心考虑在哪里存储
你注册你的图像和什么
当你在找一个
容器注册表
无论什么时候工作，都要注意这一点
在您的机器上打开docker
默认是docker hub你是不断的
将会向公众公开
Docker hub，这是
他们最近对
所以总是有你知道的很好
缓存的um
中使用的图像集合
你所依赖的系统
好的，我会把幻灯片放上来
非常结束，以防有
需要回答的问题，但是
别忘了去这个链接获取
你earpods
嗯
但首先
我想给你们看一些图片
我停了下来
我从
Docker hub，然后我拉了一个Java
17
来自谷歌的无分布图像
商店
和
你可以看到
上面的两个是一样的它们都是一样的
我只有一个被标记的JDK
和我的
Jfrog实例，使我能够
把它推到上面看更多
详细信息
但这两个其实是一样的
图像，但看看这些的大小
我们看到的是471兆字节
而散卷图像又是这些
它们也是相同的吗
只是有不同的标签，因为它们
来自不同的注册机构
这大约是一半的尺寸，对吧
兆字节，所以我认为这很好
你知道当你当你开始
数学和
和
这种东西有很多吗
需要储存、运行或移动的
在基础设施中
这是一个相当大的区别
注意创建的日期，这样我就知道了
最近下载了最新的开放JDK
在这里
这个日期这是时代的原因
这是因为这些发行版
列表图像应该是
呃完全
可再生的构建
所以和和规范需要一个创建
约会就这样，什么也没放进去
最后是epoch，就是这样
这是关于这些实际上不是
创建
52年前
只是一些有趣的东西
嗯注意
好了，接下来我要做的就是拉
我把这些图片拉下来，标记它们，然后
然后我把他们推到我自己面前
容器注册表，我要记录
在里面，我们要取
看看它
这是一个。
一个免费的
版本的
jfrog平台
我时不时地把这些拿出来
当我做工作坊什么的时候
人们可以注册这些实例
它们是它们是有限的功能
打字的东西，但他们他们真的
好
这些都是
我推到这里的图像，让我们
比较一下，有两个
我们想看看这个无分布
一个和这个打开JDK的一个
看看这里
据说痛苦的画面是因为
他们有
你知道的更少
里面的东西比它们的内容少
应该更安全你知道的少吗
里面的包装有问题
这些都经过了x光扫描
让我们来看看什么是发行版
列表看起来像与完整的列表相比
开放的jdk
图像，我要导航到这里
x光信息我不打算
说点什么，比如哪种
安全问题，我只是
看看目前的原始数据
这是为了我们的利益
如果你们想做作业的话
深入研究一下这些
看看有什么实际问题
但这是无分布的
图像，看起来我们有三个
我们有严重的违规行为
其中一些是安全问题
低到我们可能不在乎
好了，让我们回到全开状态
开放的jdk
深入到那个图像
看看这里的扫描
除了94条还有3条吗
安全问题
还有三个，还有很多
更多的媒体
问题，所以不管什么时候都很有趣
你所做的绝不是理所当然的
所说的都是真实的
过去的时候我已经推起了一个无触点
就像旧版本的
Java之类的，上次我
给这个演讲，这绝对是
实际上是发行版列表
有更多的问题是什么
有趣的发现，今天我们来看看
更好的
好了，这就是我要给你的
我知道很多可能是
对很多人来说都是复习，但我希望
很有趣，很吸引人，你得到了一些
提醒自己一些事情，也许还能学到一些东西
有新东西吗，有人有吗
问题
(音乐)
谢谢你，梅丽莎
业务上的问题我们还有
几分钟
本节课
实际上我有一个
我在想，也许
你听说过软木塞
是的，是的，是的
完全正确，是的，这是
给那些不知道这是A的人
要创建的运行时和框架
特别是Java应用程序
针对集装箱
结果令人印象深刻
对，因为我见过他们
甚至连10兆都没有
很大，你会想，怎么能装得下
里面有一个应用，那又怎样
你有过这样的经历吗
是的，我的意思是这是有道理的
因为Java应用你经常
把图书馆拉进来
你没有，你没有利用你自己
其实不需要和问题在一起
那就是你去扫描这些东西
你知道安全扫描之类的
你会发现所有这些问题，但是
它们是你不知道的东西
因为你其实并不在乎
在应用程序中使用它们非常重要
做得很好，你知道吗
省去了很多，然后
你的攻击范围变小了，我不拉了
在图书馆，除非你真的
使用它们，这将是一个很好的
家庭作业是得到一个
这些会拉出一些图像
一些图像是基于软木塞和
看看你是否知道，看看有多少
它带来了不同
绝对的，绝对的，我所看到的
有一点，我一直在和你玩
你能创造一个经典的罐子吗
一个war文件，你可以把它放在
不管怎样，它都会运行
真的很开放
通向本地编译的大门
还有经典的Java互操作性
我觉得是很有趣的
命题
无论如何，我一直在思考这个问题
但我们确实有远见，令人兴奋的东西
我们尝试使我们的容器映像为
尽可能的小
时间
我们做了很多改进
Java，因为一开始它是
很好，试着这么做可不太好
集装箱式的求职申请让人害怕
很多人都离开了，但是太多了
现在最好是完全一样的问题
在很多这样的运行时都会发生
甚至是Erlang
梁机基本上当你有
使用托管内存的大运行时
等等，他们是在
时间在哪里，集装箱就不在了
很明显，他们必须适应
在这种情况下，工人已经做到了
作业做得很好
所以我没有看到任何问题
观众，但也许会有更多
结束了，梅丽莎，我请你留下来
直到活动结束也许还有
有人提出了一个问题
到那时，非常感谢你
很好的提醒了我们应该
构建我们的容器真的很酷
这里和那里都有不错的提示
真的很好，非常感谢你
现在我们直接去看托马斯
今天的最后一个演讲
那是关于psylium和ebpf Thomas的
的
屏幕是你的
谢谢你，阿德里安
首先大家好
为我的声音道歉，我生病了
最近几天，如果你听到
轻微的咳嗽是由那个引起的
将军，我感觉很好
我们跳进去吧，等你
能看到这里的幻灯片吗
屏幕是否已经可见
完美的优秀
好的，我要讲的是
车前草和ebpf
我叫托马斯，我是
我也是工作室项目的创造者
一位联合创始人
首席技术官监视公司
由…的创造者创造的或创立的
纤毛
Psyllium是云原生网络
安全性和可观察性
在我们讨论更多细节之前
我想简单谈谈
我在哪里我们作为一个团队在哪里
如此庄严的气氛被创造出来
在我的监视下，我们是一个冒险
资本支持的创业公司
总部设在瑞士和美国
瑞士，因为我是瑞士人，我爱
滑雪太频繁了，所以我从来没有
尽管我搬到了瑞士以外的地方
我一直在为美国公司工作
从永远开始，我就能思考
从我20多岁开始，我一直在为
红帽子很长一段时间只要
内核开发人员
嗯
所以我们的团队
基本上分成了美国和
瑞士是我们公司的重镇
专注于开源，我们大多数人都有
有Linux内核开发背景
或者开源是一种现代方式，我们
是否大量投资于开源
我们最出名的是车前草和
也是为了共同创造和维护
我们会深入研究
这里还有一些
但是要说清楚什么是什么
以及我们今天要讨论的内容
Psyllium和ebpf都是开源的
项目是今天的重点
监视这背后的公司
你在计划，或者如果你在计划
对企业中的钠感兴趣
生产环境中的上下文和
你是
你渴望并应用支持感
随时联系我，我们可以谈谈
这也足够了
让我们直接进入开源领域
技术
那么什么是psylum教学大纲网络
负载平衡是最重要的
可能在文中听说过纤毛
cni容器网络
接口，这就是kubernetes
要求，以便
豆荚容器能够
通过网络相互通信
网络，因为kubernetes本身可以
没有真正的网络模型或
网络实现本身
然后学生可以做更多的事情
kubernetes服务于多集群
它们可以集成现有的路由
在vm或metal上运行的工作负载
我们可以做很多的机器
网络安全从分段一些
我们听到的服务措施案例
之前包括相互认证
同时也是基于身份的
强制执行和透明加密
更重要的是
我们可以观察到的部分
告诉你发生了什么
以度量流的形式锁定用户
我们会深入研究的
钠有什么独特之处，为什么
很多人都对sulim感到兴奋
为什么塞勒姆现在要控制世界
风暴是因为它使用了BPF
如果你从未听说过DPF
在好消息到来之前
短暂的片刻
Ebpf是车前草的核心
为什么气缸存在实际上我们的团队有
最初投资了大约1.5亿美元
多年来，eppf进一步发展到
然后建立车前柱所以整个原因
cellum的存在是因为ukf的存在
将ebpf应用到容器领域
和kubernetes
那么这个evpf技术是什么呢
像许多其他可爱的小标志
技术，但它是什么
其实并不是很复杂和你
简而言之，因为它是
和javascript非常相似
网页浏览器也完蛋了
对Linux内核或
操作系统我会教你的
你会非常非常明白的
很快
Evpf只不过是一种能力
在某个事件上运行程序
例如，当系统调用being时
在这种情况下，一个过程是制造一个
完全
然后我们可以运行一个
拦截系统调用的程序
执行一些操作，运行一些代码
并返回一个判决，例如block
系统调用或导出一些
能见度或做一些其他的，采取一些
另一个动作我们可以做一个整体
大量的事件系统调用网络
数据包I到操作跟踪点
函数调用用户空间函数调用
所以你甚至可以运行一个edpf程序
您自己的应用程序执行某些
或者收件箱，或者调用某个函数
非常非常相似
运行javascript代码时，例如
你的网站的访问者点击一个
按钮或鼠标在你的某个地方
可以运行javascript代码ebpf吗
相同
对于Linux内核
就这么简单
现在让我们来看看它能做什么
实际上是这样的，因为这是为什么呢
重要的是，听起来很简单，但事实并非如此
这必然是一个全新的概念
可编程性作为一种
概念，它到底是做什么的
它能做什么它能做什么
这是一个用例，非常具体
一个ebpm应用程序的基准测试
有很多很多几百和
成千上万种不同的
ukf的应用，这是其中之一
我认为这很容易理解
这是一个非常令人印象深刻的标杆
http的可见性
它测量的是基线，所以不是
可见性这是一个HDP基准
这是蓝色的条
然后是基于代理的可见性
这是使用
代理，如是否
啊哈代理nginx
其实没那么重要
它们基本上都是一样的，这就是
黄色的提取HTTP可见性
请求形式的可见性
已经做了这是延迟的吗
响应的环，等等
然后用红色表示潜伏期
与基于内核的ebpf的区别
这其中没有执行
例如，要求连接
终止等等，我知道
这张表格会引出很多问题
或者我们会我们会有很多问题
但是这个实现
我们可以被动地提供
使用epf，您可以看到HTTP可见性
延迟几乎和
基线，而基于代理
实现实际上增加了很多
延迟，这是一个非常非常具体的问题
这里有一个具体的用例
但如果我们退后一步，实际上
应用和讨论这个多一点
从广义上讲，edpf实际上涉及很多内容
更有影响力，正如我提到的
后台一直是Linux内核
发展了15年，我
我经常发现自己就是这样
现在的情况有人会过来
说我需要更好地观察我的应用
或者我需要这个或那个特征
我能记得的特征
当我还在openshift工作的时候
就像openshift的原始版本一样
Pre - Pre -kubernetes和openshift
开发者要么来找我，要么来找我
我们的团队说嘿，我们需要这个
功能伟大，然后我们将与工作
上游内核社区得到这个
功能
哪一种可能会自行采取行动
大约一年左右，因为
做复杂的内核更改和
很难说服其他所有人
内核工程师，但后来没有
实际上这需要几年的时间
年复一年，新的内核
版本，让它进入手中
因为大多数用户都在使用
特别是reddit的用户
消费reddit企业Linux在
另一个企业发行就这样了
会花上五年的时间
开头或开头的要求
更改内核的交付
实际运行的版本
那个用户和那个时候
用户的需求有可能
已经改变了，所以这是内核
这是一个很难创新的地方
本质上这意味着很多
创新实际上转移到了用户身上
为什么我们看到了太空的大规模崛起
用户空间IO用户中的用户空间网络
空间安全
比如整栋建筑
系统调用的抽象平台
等等，因为Linux内核
这本身就非常具有挑战性
我们甚至看到了整个分支的创新
比如这个小核
安卓，因为它不可能
足够快地创新
Ebpf现在正在改变这一切
突然，因为类似于如何javascript
解锁了还是解耦了
浏览器版本从创新
就像你们中的一些人一样
长时间使用互联网的你
可能还记得很久以前你
升级你的网页浏览器到
最后一次访问某些网站是什么时候
是时候让你这么做了
可能不是最近，因为javascript
以及自动可编程框架
我不再要求你这么做了
epf现在为
操作系统，特别是Linux
因此，过去需要花费数年时间的事情，现在可以做到
几天内完成，因为我们可以
动态加载程序并进行更改
莱纳斯卡的行为
这听起来可能非常可怕
对你们中的一些人来说有些人甚至
说说有什么不同
linux内核模块
已经可以扩展或加载
附加的内核模块代码
时间
这就是不同com的地方
差异开始起作用了
整个evpf景观是从高处看的吗
从一级到一级，再到一级
这是珊瑚，这是
操作系统级别的
实际的edpf程序将运行和一部分
你会看到一个叫做验证器和
芯片及时编译这一层
其实很加沙盒概念
类似于容器的沙盒
他们也有编译器
将
通用字节码通用edpf字节码
及时将其编译成你的
CPU指令集非常相似
这是为其他解释
像javascript或Java这样的语言
好吧
这意味着我们可以动态地
加载一个非常类似于Linux的程序
专业模块，但我们实际上在磨合
沙盒程序或沙盒
环境与我们非常相似
Javascript程序也是沙盒的
实际上是即时编译器
确保我们能高效运行
就好像我们重新编译并重新启动我们的
内核或整个机器
然后我们有一个内核API
实际上确保了我们的程序
稳定和便携的解决方案
可能是鲜为人知的问题
Linux内核模块也就是Linux
内核模块非常非常难
使可移植的跨任意内核
所以这些都是问题
都是由edpf解出来的
内核空间变成了
创新是惊人的
因为内核是一个真正强大的
因为内核代码运行的地方
能看到内核能看到的一切吗
控制一切，我们会看到的
关于如何使用的例子
这是evpf和if的较低水平
你看起来很清楚或者非常非常
你可以近距离看到一个窗口
标志在那里，尽管ebpf是
来自
微软最近从Linux移植了
在Windows上也是如此
现在可以在Windows上使用
2.
在此之上，您可以看到一堆sdk
以及将制作edpf的库
可编程的高级语言
因为你们中的大多数人永远不会想要
用汇编编写一个etf程序
字节码，所以你可以使用python go c +
加上c花名册顺序语言um到
实际上写ebpf程序，然后
你可以把它提升到一个更高的水平
哪个是evpf项目还是最终用户
面对像VCC这样的项目
Falco catron DPF trace等
不断增长的基于ebpf的项目列表
是否会最终解决用例
用户
在下一步中，我们现在将稍微关注一下
在汽缸上，我想让它high一下
首先向BPF展示水平，因为
纤毛显然不是唯一的VPF
应用程序
在治理方面，嗯ebpf
一直以来还是我们在一起的一些
其他行业成员
参与ukf很长时间了
你们一起创建了ebpf基金会
这是一个基于Linux的基金会
你可以看到创始成员
这里从那时起的成员还是名单
的成员已经延长了相当长的时间
Bit和ebpf生态系统正在成长
非常迅速地
现在让我们来谈谈叙利亚和
实际上看看
什么类型的应用什么类型的
什么类型的服务值我们可以
在epf中提供
所以如果我们回到这里，你可以看到
这里的柱体是在里面的
世界的中心显示
Kubernetes mesos今天的高密度脂蛋白是
主要是
当然是Kubernetes
但最终钠和ebpf是
实际上非常一般，非常
适用于任何事情
学习甚至不局限于
集装箱的应用程序
只有
你可以看到钠的吸收
这还不包括董事会
除了从
大型sas提供商到云提供商
例如，在任何地方都已经有一周了
默认使用剪影
阿里巴巴在高性能期权
数字海洋，而其他较小的QMS
分布
使用钠作为默认的c9 to
提供网络和安全，然后
从电信到金融
教学大纲，而不是ebpf
非常适用于非常广泛的流
用例和采用是明亮的
好吧
现在我们开始稍微下潜
在这里，我要提供善意
这一阶段的旅程是什么
用户通常会通过
在kubernetes中应用或使用纤毛
环境，如果你想要我
来深入研究它们中的任何一个
特别要提的是
q a
我在另一扇窗开着
屏幕，这样我就能看到
可以更深入地探讨这个特定的话题吗
第一阶段是什么
通常我们看到的是
您的初始kubernetes集群已经启动
运行这个是你需要的基础
部件和服务连接和您
还会不会在意初始
集群硬化
比如嗯
确保kubernetes或后台是
正确配置，确保
你不会不小心
把你的共产主义仪表盘暴露在
世界等等，你也可能是
部署容器映像之类的东西
在这个阶段当然可以扫描
基本上用任何cni，因为所有你
这里需要的是基本的零件和服务
连通性你没有额外的
安全性或可伸缩性需求
进入第二阶段，我们通常
说你进入时你跑敏感
数据工作负载或者多租户
需求，所以你有多个团队
在一个kubernetes上运行
这是你开始携带的时候
关于零信任网络安全
您可能需要透明加密
监控加密内容的遵从性
什么不违反什么网络政策
发生了什么等等你还想知道吗
以监视应用程序为例
的HTTP延迟
服务或
确定有多少HTTP 500错误码
是被归还等等建造的吗
比如典型的黄金单曲
仪表板你可能也有
关于有效负载的要求
当你向外扩展时，你已经平衡好了
你很可能需要与
外部工作负载不是
容器化的或不属于的
Kubernetes，很可能他们仍然
位于传统防火墙后面
哪个也很可能不是云
本地意识，所以我们会有一个
真的很难应付
容器化的工作负载
一直在换ip，这就是
就像静态的反向iep
功能可以绑定在一起
Volatile容器背后是一个稳定的IP
你能允许吗
通过你的传统防火墙
第三阶段通常是当你
采用一种更微的服务
架构有时是第三阶段
实际上是在第二阶段，如果你
非常现代，如果这是很自然的
您为更多的传统企业
这显然是一个后期阶段
对不起
这就是像多集群这样的东西
进入第七层
可观测性第七层流量
管理
比如git ops集成
gitlab中的网络策略集成
Github以及先进的安全性
我们可以提供的运行时保护
先进的规模先进的搅拌器等等
通往多云用例的道路
如果你想让我关注其中任何一个
特别要提的是
在qa通道中，我将花费a
在这个问题上再多花点时间
方面
现在我们再深入一点
到各个方面，所以
可伸缩和安全的网络
你会知道我们是一个非常
我们可以运行高效且可扩展的cni
在本地，我们可以chrome，云，我们可以运行
混合云，这样我们就可以开了
使用实例BGP模式和覆盖
卓越，你把一切留在云端
提供程序环境我们也许可以
与云更广泛的sdn集成但是
我们也可以不用它们
因为他们中的一些人
在规模上有限制，你就会跑
废气问题，这样你就可以走了
返回并运行叠加
但是也因为我们可以跑
所有的云提供商都是一样的
很好，我们真的很擅长多云
用例，因为我们可以
运行多集群场景
跨云提供商实现跨云
准时的环境
在我们的水平上，我们不仅可以
我们可以将pod或服务连接在一起
还提供各种负载平衡
我们可以用很多方法来替换q
能否实现高绩效
q代理的实现，可以扩展
非常非常好，然后我们可以做
更多的我们也可以成为什么
称为南北负载均衡器
基本上是负载平衡
群集，这样您就可以把任何Linux和
将未来的Windows机装入
例如平衡机的更换
整整五个盒子
在最新版本中，我们也可以
实现kubernetes的入口，所以我们有
kubernetes的实现
入口控制器，也可以做
所有的7层负载均衡为
既进入了星团，也
之间的
服务和跨集群也是如此
在安全方面
首先，是的，我们是一个
意味着我们可以执行
网络层面实际上是非常
非常重要的一个方面是
不可低估
即使你在管理高层
概念就像一个服务网格你差不多
需要注意，比如侧斗
代理或基于代理的身份验证
方法，可以添加额外的
来自相互身份验证的安全性
观点并不能阻止你
所有你可能泄露的信息
在网络上查看代理是否没有
支持特定的网络协议吧
显然不能强制执行吗
规则是这样的，为了有
正确的网络安全也是你所需要的
总是需要保护你的网络
先关卡，然后添加互关卡
身份验证是最重要的，这就是原因
车前草将两者结合在一起
非常类似于服务网格方法
我们正在使用MTLS
相互之间的认证
水平和说，是的，我们正在执行
有用的认证，但我们不是
限制我们自己使用TLS，这意味着我们
有一个基于身份的概念，但是我们
可以强制这种相互身份验证吗
身份不在TLS级别，而是
实际上是更一般的东西
它可以支持任何网络
协议很神奇，因为现在
突然之间，您可以支持非tcp
协议，你可以确保
没有什么可以绕过
您的身份验证和授权
层
显然我们也支持标准
Kubernetes现在的政策，然后我们可以走了
进一步研究，例如DNS
将基于策略转换为API策略
等等......
除了分割或
我们还可以进行身份验证
传输加密我们可以做到这一点
使用ipsec或wireguard
两者都有优点和缺点
顺从的好处是什么
如果没有，Wireguard可以稍微快一点
加密或如果没有硬件卸载
对于加密操作是
可用
最后，最后一个口袋是
这实际上是在膨胀
超越单个斐波那契簇
我们可以在a中做多集群
完全代理自由的方式，这意味着
可以连接多个集群
在一起，但不是互相介绍
出口或入口代理哪个
意味着你可以保存你的
自然有机网络性能为
好吧
我们也可以整合到
能否集成非kubernetes节点
容器工作负载也一样
这意味着，正如我提到的圆柱是
并不局限于容器或者
Kubernetes都可以运行
钠在任何你想要的机器上
把那台机器装进你的网里
到kubernetes集群中，这样就可以
让我们运行现有的ec2
VMS机群或裸机数据库
服务器上可以运行psyllium
然后让他们出现
机器作为工作负载出现
相似的，好像他们是零件，所以他们
可以从可以应用的部分到达吗
网络策略他们可以外接
工作负荷可以达到，也可以达到
Kubernetes DNS
Kubernetes服务等等
你有很大的灵活性
将事物结合在一起
建立一个零信任的网络
概念，而不需要
用集装箱装的一切
换个角度看看
变成一种网络策略
取证和遵从性用例
执行棋子显然很重要
但还有更多的原因，那就是
能见度这边，我们会
双击左下角的这个
窗户通风，因为那很
这很重要，所以要记住
第二，当我们完成幻灯片的时候
是的，我们有这种同一性意识
稍后的网络和运行时可见性
看看，然后我们显然也可以
是否有很多我们可以监控的指标
当然，几乎所有的事情都是如此
我们转发了多少
我们有一个TLS派对，我们可以
例如，回答以下问题
有什么
协商后的TLS密码是什么
有人尝试过TLS吗
降级攻击的百分比是多少
离开集群的流量不是
TLS加密等等，然后我们有
更传统的网络水龙头
以及端口镜像功能
举个例子，你可以用哪个
整合一个id，如对不起的结尾
这个网络标签的好处
想法插入部分是
这样你就可以应用身份了
这仅适用于流量的子集
然后是噼啪噼啪
弹性搜索集成了所有这些
可见性可以使用
哈勃用户界面，我们自己的用户界面，还有数据等级
到你现有的sim平台
我保证我们会双击
此网络和运行时可见性使用
这是一个例子
传统的网络流量日志为5
元组流锁定，你可以看到
典型的网络通信IP
在特定端口上与此IP通信
以及它是被拒绝还是被接受
如果我们再深入一点
这就是我们所提供的
当你看到这个新的视角，你
首先会是什么呢
问题是这还是一个网络吗
流，或者这甚至显示了网络
一点都不像，因为它看起来不像
额外的网络流日志
实际上它只是提供了很多
额外的背景和身份
信息，但如果你仔细看，我们
在左下方，我们可以看到
我们看到的源身份是网络
名称空间或kubernetes
命名空间是一个pod名称，然后我们看到
的整个进程祖先树
工作负载正在运行，所以在本例中是
一个容器运行时，在这里是docker
D哪个在发射，哪个有
发射了一个容器并在里面
容器里有个二进制爬虫
Running是一个node应用
运行node server.js，然后for
当你看这个的时候，原因很明显
被攻破了，攻击者发起了攻击
一个反向壳，你可以看到
箭头可以看到个体
连接
所以node应用实际上做了
连接到api。twitter.com我们
能看到DNS的可行性吗
也联系了
Elasticsearch是一个内部的
服务
然后在网猫上
我们看到nc二进制netcat
泄露的代码是用来做什么的
链接到网址是
显然不是一个反向的庇护所
显然收到了指示
Netcat被用来启动bash和
在bash shell里面，curl被使用了
然后四处找找，然后找回来
例如来自
Elasticsearch我们也可以看到
实际上看到的第7层信息为
我们通常会看到这种联系
对于弹性搜索，我们也可以看到
有一种方法可以让用户使用这种方法
搜索一下，这样我们就能知道是什么类型的
正在进行API调用
有趣的是，我们看到了新的东西
这实际上是相同的流量
然后这个网络视图会
很明显，我永远无法判断
任何攻击都在进行中
就像没有网络人会那样
声称你能看到这种类型
攻击只基于52
黑板流日志，它变成这样
很明显，我用了
这里是一个受损代码部分的示例
有一个相反的壳层，但这是
实际上也非常有用如果我们
如果你想知道在哪里
网络流量来自于
实际工作负载是一个应用程序
运行多维数据集控件的开发人员
开派对，到处爬就是这样
Kubernetes基于网络的健康检查
等等就像是什么什么类型的
网络流量由kubernetes控制
飞机做了这些就可以了
机器上的任何进程
我们简单提过车前草可以
不仅提供备用授权
在网络层面，也就是这里
从一层到第四层的网络
你下面的人，还有第七层的人
实际上举例来说a的极限
前端端点可以与后端和
那部分只能做
一个HTTP get / public but for
例如不做一个帖子或更新或
不能访问
例如，Private或其他url
同样的原则也适用于协议
就像卡夫卡·卡桑德拉·麦克赫斯特一样
自动协议，比如你可以
还说我的部分可以给支票
卡桑德拉数据库，但它只能做
选择一个特定的表，但你可以
永远不要更新，否则你可以说我的pod
kafka可以和一个共享集群对话吗
可你在这个话题上可以消费吗
不能消费或生产
其他团队的任何话题
使用
DNS服务器策略令人难以置信
有趣的渲染或
建模需要访问的服务
在我使用的集群之外
mydomain。我o here as an example but
另一个典型的例子是你的
服务延伸到aws s3云
提供商云提供商银行数据库
特别有趣的原因是什么
他们有成百上千的支持者
不断变化的ip
如何从网络中对它们进行建模
从政策的角度来看，你显然想要
限制你的出口能力
因为如果代码得到
泄露您想要阻止的数据
漏出
这就是DNS策略的作用
玩什么你怎么做这个如果ip
服务需要接触到他们
这就是你不断改变的地方
是否可以编写像这样的DNS策略
实际上我希望我的服务是
能够伸出手来启动我的域名
在IO上，也可能是
Mybucketss3.com或其他域名
名字
索尼接下来要做的是
连接到所有DNS流量，然后
代理的意思是首先
它甚至不允许任何DNS
分辨率与此不匹配
域或者这个模式
会被阻止会被拒绝吗
在DNS级别
然后如果只允许
允许的ip集将实际或仅
返回的ip将被允许
意思是即使aws s3可能
千千万万的智慧，只有四个
DNS返回的ip实际上是
允许
显然，这也阻止了任何DNS
基于数据泄露的尝试
因为我们的代理人会
解封装了所有DNS请求
不允许做做数据探索
要么通过DNS，除非你找到办法
将它编码到DNS中
我想这是可能的
但要实现任何目标都非常非常具有挑战性
合理的带宽，然后你会
还是要符合
你实际上允许的课程
好了，最后一块是
哈勃或可观测部分，所以我
我想这可能是
最重要的部分是哈勃望远镜
UI或哈勃是可观测层
它用ebpf来
透明地获得可观测数据
不需要任何操作
修改重新编译您的
应用程序，以便您可以部署索尼和
哈勃，你会得到这个
你现有的可观察性数据
正在运行的工作负载
你可以看到一个整体的概览
正在运行的服务是什么
连在一起，你甚至可以看到所有的路
七层给你打电话
可以将其配置为只做第34层吗
或者第七层，然后在
下面你可以看到现场视图
个体的联系是什么
或者已经观察到的请求
你能在这里过滤吗
示例显示只显示我
已丢弃的请求
或者显示延迟较大的请求
然后是这个等等
所有这些数据
是直播还是直播
数据变成了时间，实际上建立了一个
一个时间机器，所以时间逃逸是我们的点击
房子基于嗯机制来实际上
随时间存储这些可观察性数据
然后你可以回去说，嘿
给我这张两周前的照片
在这个特定的时间框架内等等
所有这些数据，比如哈勃UI
我们只是看了一下，这显然是全部
可用的方法是通过cli和API
所有的指标
以普罗米修斯为基础的指标
看看他们，如果我们有时间
我们的网络政策编辑
哪个是视觉上的，哪个是视觉上的
可视化网络策略和
图形化地编辑策略，所有这些
是否可以在集群级别完成
或者是整个集群范围
多集群电话或
不好意思，你也可以把这个绑在
例如，特定的名称空间和
比如说一个团队管理着一个
名称空间可以查看这些关系图和
仪表板和所有这些UI工具
只针对他们拥有的名称空间和您
可以将此绑定到单点登录提供商吗
Octa活动目录我就是你
我想在这里继承现有的
角色信息，然后
配置所有返回规则非常类似于
斐波那契是如何定义我们的背规则的
好吧
在我们结束之前的最后一点
Github的网络政策护栏如此
用例非常非常
随着团队规模的扩大，现在经常出现这种情况
并且使用越来越多的kubernetes
欲望就在那里
应用程序团队要继承的部分
细粒度的责任
网络策略
但一个安全小组仍然想要
保留对网络的一些控制
策略，例如网络
在哪个pod上的名称空间内的策略
应该能跟模特谈些什么
网络的其他部分
应用程序团队应该能够
自己定义这些规则，但是
应用程序团队自己应该这样做
不允许开新的
应用程序到外部Internet或
暴露它们或者做交叉命名空间
交通，这里有护栏
这样你就可以
一个安全团队
定义一组百老汇规则
示例应用团队可以在其中定义
名称空间和其他所有东西都需要
得到批准，然后这个实现
哪个是可用的github和gitlab
会自动批准pr与
中的网络策略
护栏和其他东西，呃
安全马达是一个马达角色需要的
在合并之前改进pr
这也是可用的，并且允许
将安全团队部分委派给
创建网络策略
很明显你仍然可以这样做
新闻名称空间和全局策略
好吧，即使你在a处有这个
例如，安全团队总是可以
写下全球的政策
全球规模，如果你已经开放
应用的命名空间级策略
团队
规模和性能，正如我提到的
ebpf
一开始是高度的
高效的建立网络的方式
可观察性，安全性等等
你对这个感兴趣，我就不去了
非常详细，但如果你
对这个话题感兴趣的，请随意
看看车前草块
我们在这两方面都有广泛的博客
性能比较的psylum数据
玩其他的cni的服务网格
以及可扩展性如何实现
非常大的多集群系统
如果你对这个话题感兴趣的话
我将留给你们一个
在我们
请大家提问
如果你想了解更多关于纤毛的知识
如果你有兴趣的话
在这方面，请随意查看纤毛
edpf ebpf。我o is the place to go
很明显，如果你想参与
钠试试，开始加入
车前草和ebpf是最好的
到达开发团队的方式
参与提问，然后如果
您想要运行selenium enterprise
概念上下文随时可以去
isurveil.com
我想我们有几个
还有几分钟的提问时间
如果没有问题，我
也很乐意演示一下
简单讲一下指标
正是如此，我们非常感谢托马斯
这些技术真是太棒了
非常非常酷，我们正在使用
如果我们已经在apuyo使用了psilium
Cloud是我们最新的容器
在瑞士服务，所以我们是
它打开了很多很多不同的
我们服务的大门和可能性
非常棒
了解更多
如果有任何问题
同时，如果你愿意的话
当然还有别的，请感受一下
可以拿走这个，我想确保我们
有足够的时间提问，但是我
总是乐于演示
还有一堆奇特的指标
当然
让我看看，让我知道一旦你能看到
我觉得应该是石墨仪表盘
即将到来的
所以我们有各种各样的指标
我们可以展示我正在展示
以三个仪表盘为例
看看在网络层面上是多少
被转发到这里，我们可以看到
一些网络数据包被丢弃
哦，这可能是个糟糕的理由
是不是不好的征兆，好让我们能走
进去看看它为什么掉下来，我们可以
确保我们有稳定的流量
网络策略或与策略相关的流量
这就是我们要做的
比如，我想看看哈勃望远镜和
看看哪些部分实际上是受影响的
这
我们可以看到我们可以观察到TCP
图层，这样我们就能看到
经常丢失某些TCP syn动作
这是一个明确的信号吗
比如说，明显是超时了吗
这是一个演示应用程序
有目的地
完全做到这一点
你可以到下面去
其实看到的是一种封锁
水的部分受
Policy deny，这样我们就可以锁定它了
再往下，然后到这里的DNS
仪表盘可能是最
大家最喜欢的仪表盘，因为
dns是
任何事故的首要原因
可以看到有多少个DNS
响应或DNS费用是多少
目前正在发生，原因是什么
然后是哪些部分需要DNS
错误，以便您可以立即查看是否
你的应用程序受到较少的错误
我们还可以看到前10名
dns查询
我们有DNA和HTTP仪表盘
我们在哪里可以看到HTTP的数量
请求的延迟时间
单个请求
以此类推
这是比较高的水平，但是
我们还可以详细说明
TCP度量和实际度量
平稳的往返时间是
非常有趣的是，我们在这里看到
不时地
普罗米修斯的典当有一个很坏的
顺畅的往返时间其中大概
表示它得到
节流阀或
价格有限，你可以走得更远
真正理解
有多少交通涉及的部分
做什么是总流量
豆荚做得很好
负责例如网络
延迟上升
等等......
最后但并非最不重要的是，我们真的可以走了
低水平，实际上一直看
例如网络接口
比如统计学
把它和是否确定联系起来
虚拟机或某些节点
这是一个非常小的
我们可以看一下这些指标
提供让我们一路走好
高级HTTP DNS级别
从一个服务网格一直向下使用
进入更低的层次，你只能
期望从网络设备类型和
把所有这些信息联系起来
在一起，这就成功了
故障排除相对简单
网络问题
非常非常快
优秀的
非常令人印象深刻
我
我看不出有什么活动
还有聊天中的问题
所以我认为
我们可能快到终点了
这一届的
简单提醒一下
在我们结束会议之前
下一版的CNC聚会
下一次是在5月12日吗
还有空位，所以如果你
想展示一些吗
技术是一种实践
请在您自己的环境中使用
快来告诉我们，我们很乐意学习
这个社区是由你们建立起来的
所以这很重要，你
参与
然后我们今年还有两次会议
计划在8月25日和11月24日
所以请不要犹豫，让我们知道
如果你想参与的话
本视频将在
vision.tv
从明天开始
请订阅并分享
如果你愿意，如果你愿意
课程提问请随意
与我们联系，并与我们联系
感谢今天的演讲者
如果你在YouTube上观看的话
谢谢大家的收看
直到最后
首先非常感谢我们的
有请莫里茨，梅丽莎和托马斯
这是一个美妙的夜晚，真的
非常有趣的会议，谢谢大家
这么多和
下次CNC再见
瑞士计算机聚会，谢谢
再见
再见，梅丽莎，再见，莫里斯